Hoiatus Teie brauseri laiendused spying on you
Internet plahvatas reedeti uudisega, et Google Chrome'i laiendusi müüakse ja reklaamitakse reklaamvara abil. Kuid vähetuntud ja palju olulisem fakt on see, et teie laiendused luuravad teid ja müüvad teie sirvimisajaloo varjulistele ettevõtetele. HTG uurib.
TL; DR versioon:
- Brauseri lisandmoodulid Chrome'i, Firefoxi ja ilmselt teiste brauserite jaoks jälgivad iga külastatud lehte ja saadavad selle andmed kolmandale osapoolele, kes maksab teie teabe eest.
- Mõned neist lisandmoodulitest süstivad reklaame ka külastatavatesse lehtedesse ja Google lubab seda teatud põhjusel, kui see on „selgelt avalikustatud“.
- Miljonid inimesi jälgitakse sel viisil ja neil pole aimugi.
Kas me nimetame seda ametlikult nuhkvaraks? Noh ... see pole nii lihtne. Wikipedia määratleb nuhkvara kui „Tarkvara, mis aitab koguda teavet isiku või organisatsiooni kohta ilma nende teadmata ja mis võib saata sellise teabe teisele üksusele ilma tarbija nõusolekuta”. See ei tähenda, et kogu andmeid koguv tarkvara on tingimata nuhkvara ja see ei tähenda, et kõik tarkvara, mis saadab andmeid tagasi oma serveritesse, on tingimata nuhkvara.
Aga kui laienduse arendaja läheb oma teed, et varjata asjaolu, et iga külastatav leht salvestatakse ja saadetakse ettevõttele, kes maksab neid andmete eest, kui matab selle seadistustesse anonüümseks kasutusstatistikaks, seal on vähemalt probleem. Iga mõistlik kasutaja eeldab, et kui arendaja soovib jälgida kasutusstatistikat, jälgivad nad ainult laienduse kasutamist, kuid vastupidine on tõsi. Enamik neist laienditest jälgivad kõike muud, mida te teete välja arvatud laiendit. Nad on lihtsalt jälgimine sina.
See muutub veelgi problemaatilisemaks, sest nad nimetavad seda "anonüümne kasutusstatistika ”; sõna „anonüümne” tähendab, et oleks võimatu välja selgitada, kes need andmed kuuluvad, nagu oleksid nad puhastanud kogu teie andmete andmeid. Aga nad ei ole. Jah, kindel, et nad kasutavad anonüümset sümbolit, et esindada teid, mitte oma täisnime või e-posti, kuid iga külastatav leht on seotud selle märgiga. Niikaua kui see laiendus on installitud.
Jälgige kellegi sirvimisajalugu piisavalt kaua ja saate täpselt aru saada, kes nad on.
Mitu korda olete avanud oma Facebooki profiili lehe või oma Pinterest, Google+ või muu lehe? Kas olete kunagi märganud, kuidas URL sisaldab teie nime või midagi, mis teid tuvastab? Isegi kui sa ei ole kunagi külastanud ühtegi neist saitidest, siis arvan, kes sa oled.
Ma ei tea sinust, aga minu sirvimisajalugu on minu, ja keegi ei tohiks sellele juurde pääseda, vaid mind. On põhjus, miks arvutitel on paroolid ja kõik üle 5-aastased teavad oma brauseri ajaloo kustutamisest. Mida külastate internetis, on väga isiklik ja keegi ei tohiks külastada minu külastatavate lehtede loendit, isegi kui minu nimi pole nimega konkreetselt seotud.
Ma ei ole advokaat, kuid Chrome'i laienduste Google'i arendajate programmide eeskirjades öeldakse, et laienduse arendajal ei tohiks lubada avaldada ühtegi minu isiklikku teavet:
Me ei luba inimeste privaatset ja konfidentsiaalset teavet, näiteks krediitkaardi numbreid, valitsuse identifitseerimisnumbreid, draiveri ja muid litsentsi numbreid ega muud avalikult juurdepääsetavat teavet, volitamata avaldamist.
Kuidas minu sirvimisajalugu pole isiklik teave? See pole kindlasti avalikult kättesaadav!
Jah, paljud neist laienditest sisestavad reklaamid liiga
Probleemi lisab suur hulk laiendusi, mis süstivad reklaame paljudesse külastatavatesse lehtedesse. Need laiendused panevad oma reklaamid just sellesse, kuhu nad juhuslikult neid lehele panevad, ja need peavad sisaldama ainult väikest teksti, mis tuvastab, kust reklaam tuli, mida enamik inimesi ignoreerib, sest enamik inimesi isegi ei kasuta vaata reklaame.
Kui te tegelete reklaamidega, on tegemist ka küpsistega. (Väärib märkimist, et see sait on reklaamiga toetatud ja reklaamijad panevad küpsised teie kõvakettale, nagu iga veebisait internetis.) Me ei usu, et küpsised on suured tehingud, aga kui te seda teete, on nad päris palju lihtne toime tulla.
Adware laiendused on tegelikult vähem probleem, kui te võite seda uskuda, sest see, mida nad teevad, on laienduse kasutajatele väga ilmselge, kes saab siis alustada selle ümber ja proovida arendaja peatada. Soovime kindlasti, et Google ja Mozilla muudaksid oma naeruväärset poliitikat selle käitumise keelamiseks, kuid me ei saa aidata neil tervet mõistust saada.
Seevastu jälgimine toimub salajasena või on sisuliselt salajane, sest nad püüavad varjata laienduste kirjelduses seda, mida nad seaduslikult teevad, ja keegi ei liigu readme'i põhja, et välja selgitada, kas see laiendus on jälgib inimesi.
See luuramine on EULA-de ja privaatsuspoliitika taga peidetud
Need laiendused on lubatud jälgida seda jälgimiskäitumist, sest nad „avalikustavad” selle oma kirjelduste lehel või mõnel hetkel oma valikupaneelil. Näiteks HoverZoomi laiend, millel on miljon kasutajat, ütleb oma kirjelduse lehel allpool:
Hover Zoom kasutab anonüümset kasutusstatistikat. Seda saab keelata suvandite lehel, kaotamata ka funktsioone. Kui see funktsioon on lubatud, lubab kasutaja anonüümsete kasutusandmete kogumist, edastamist ja kasutamist, sealhulgas, kuid mitte ainult, kolmandatele isikutele edastamist.
Kui täpselt selles kirjelduses selgitatakse, et nad jälgivad iga külastatud lehte ja saadavad URL-i kolmandale osapoolele, kes maksab neile teie andmeid? Tegelikult väidavad nad kõikjal, et neid sponsoreeritakse affiliate linkide kaudu, jättes täiesti tähelepanuta asjaolu, et nad on teie eest luuravad. Jah, see on õige, nad süstivad ka reklaame üle kogu koha. Aga mida sa rohkem huvitavad, reklaamil kuvatakse lehel või need, mis võtavad teie kogu sirvimisajaloo ja saadavad selle kellelegi teisele?
Hover Zoom Excuse paneel Nad on võimelised sellest ära minema, sest neil on oma valikute paneelis maetud väike väike märkeruut, mis ütleb: „Luba anonüümset kasutusstatistikat” ning saate selle funktsiooni keelata - kuigi tasub märkida, et seda ei ole kontrollitud.
Sellel laiendusel on olnud pikaajaline halb käitumine, mis ulatub tagasi mõnda aega. Arendaja on hiljuti püütud koguma sirvimisandmeid kaasa arvatud vormiandmed ... kuid ta oli ka eelmisel aastal püütud, müües andmeid selle kohta, mida sisestasite teisele ettevõttele. Nad on nüüd lisanud privaatsuspoliitika, mis selgitab põhjalikumalt, mis toimub, aga kui teil on vaja lugeda privaatsuspoliitikat, et välja selgitada, et teid on proovitud, on teil veel üks probleem.
Kokkuvõttes on see üks pikendus ainult üks miljon inimest. Ja see on lihtsalt üks nendest laiendustest - sama palju on palju rohkem.
Laiendused võivad muuta teie teadmisi puudutavaid käsi või värskendusi
See laiendus nõuab liiga palju õigusi. Keeldu! Ei ole mingit võimalust teada, millal laiendust on nuhkvara lisamiseks uuendatud ja kuna paljude laienduste tüübid vajavad tonni õigusi, et isegi korralikult toimida, enne kui nad muutuvad spycraft-i reklaamisüstiks, nii et sa võitsid Kui uus versioon ilmub, ei saa seda küsida.
Veelgi hullemaks, paljud neist laiendustest on viimase aasta jooksul käed muutunud - ja keegi, kes on kunagi kirjutanud laiendusele, on üle ujutatud taotlustega müüa oma laiendust varjukatele inimestele, kes siis nakatavad teid teie reklaamidega või spiooniga. Kuna laiendused ei vaja uusi õigusi, pole teil kunagi võimalik välja selgitada, millised on teie teadmata lisanud salajase jälgimise.
Tulevikus peaksite loomulikult vältima laienduste või lisade installimist täielikult või olema väga ettevaatlik, milliseid teid installite. Kui nad küsivad õigusi kõike, mis on teie arvutis, peaksite klõpsama nupul Tühista ja käivitama.
Varjatud jälgimiskood kaugjuhtimispuldi abil
On ka teisi laiendusi, mis on tegelikult üks neist, millel on täielik jälgimiskood, kuid see kood on praegu keelatud. Need laiendused pingid serverisse iga 7 päeva tagant, et värskendada nende konfiguratsiooni. Need on konfigureeritud saatma veelgi rohkem andmeid tagasi - nad arvutavad täpselt, kui kaua iga vahekaart on avatud ja kui kaua te iga saidi kulutate.
Testisime ühte neist laiendustest, nimega Autocopy Original, püüdes seda mõelda, et jälgimiskäitumine peaks olema lubatud ja me saime kohe näha oma serveritele tagasi saadetud andmeid. Neist laiendustest oli Chrome'i poes 73 ja mõned Firefoxi lisandmoodulite poes. Need on kergesti tuvastatavad, sest need kõik on pärit “wips.com” või “wips.com partneritest”.
Huvitav, miks me muretseme jälgimiskoodi pärast, mis pole veel lubatud? Kuna nende kirjeldamise leht ei ütle jälgimiskoodi kohta sõna - see on maetud iga nende laienduse märkeruutuna. Nii et inimesed paigaldavad laiendusi eeldades, et need on kvaliteetsest ettevõttest.
Ja see on ainult aja küsimus enne, kui jälgimiskood on lubatud.
Selle luuramise laienduse uurimine
Keskmine inimene ei tea kunagi, et see luuramine toimub - nad ei näe serverile päringuid, neil ei ole isegi võimalust öelda, et see toimub. Enamik neist miljonitest kasutajatest ei mõjuta mingil moel ... välja arvatud see, et nende isikuandmed on nende all varastatud. Niisiis, kuidas sa selle ise välja arvad? Seda nimetatakse Fiddleriks.
Fiddler on veebi silumise tööriist, mis toimib puhverserverina ja salvestab kõik taotlused, et saaksite näha, mis toimub. See on tööriist, mida me kasutasime - kui soovite kodus paljundada, installige lihtsalt üks nendest spioonilaienditest nagu Hover Zoom ja hakkate nägema kahte taotlust saitidele, mis on sarnased t.searchelper.com ja api28.webovernet.com iga vaatatava lehe kohta. Kui kontrollite sildi Inspektorid, näete rida baast64-kodeeritud teksti ... tegelikult on see mingil põhjusel kaks korda baasekodeeritud. (Kui soovid enne dekodeerimist täieliku näite teksti, panime selle siia tekstifaili).
Nad jälgivad kõiki teie külastatavaid saite, isegi HTTPSi Kui olete selle teksti edukalt dekodeerinud, näete täpselt, mis toimub. Nad saadavad tagasi selle praeguse lehe, mida külastate, koos eelmise leheküljega ning unikaalse ID-ga, et teid tuvastada ja mõnda muud teavet. Selle näite väga hirmutav asi on see, et olin ajal, mil see oli SSL-i krüpteeritud HTTPS-i abil. See on õige, need laiendused jälgivad teid endiselt saitidel, mis peaksid olema krüpteeritud.
s = 1809 & md = 21 &pid = mi8PjvHcZYtjxAJ& sess = 23112540366128090 & sub = kroom
& q =https% 3A // secure.bankofamerica.com / login/sign-in/signOnScreen.go%3Fmsg%3DInvalidOnlineIdException%26request_locale%3Den-us%26lpOlbResetErrorCounter%3D0&hreferer=https%3A//secure.bankofamerica.com/login/sign-in/entry/signOn.go&prev=https%3A/ /secure.bankofamerica.com/login/sign-in/entry/signOn.go&tmv=4001.1&tmf=1&sr=https%3A//secure.bankofamerica.com/login/sign-in/signOn.go
Api28.webovernet.com ja teine sait saate oma brauserisse langeda, et näha, kus nad viibivad, kuid me säästame teie vahekohtu: nad on tegelikult API-le suunatud sarnase veebi jaoks, mis on üks paljudest firmadest. tehes sellist jälgimist ja müües andmeid, et teised ettevõtted saaksid oma konkurentide suhtes spioonida.
Kui olete seikluslik tüüp, saate selle sama jälgimiskoodi hõlpsasti leida, avades oma chrome: // laienduste lehe ja klõpsates Arendaja režiimis ning seejärel „Inspection views: html / background.html” või sarnast teksti, mis ütleb laienduse kontrollimiseks. See võimaldab teil näha, mida see laiendus taustal töötab.
See prügikasti ikoon on teie sõber Kui olete kontrollinud, näete kohe allikate failide ja igasuguste muude asjade nimekirja, mis teile tõenäoliselt kreeklased on. Olulised asjad on antud juhul kaks faili tr_advanced.js ja tr_simple.js. Need sisaldavad jälgimiskoodi ja on ohutu öelda, et kui te näete neid faile mis tahes laienduse sees, siis teid jälgitakse või pannakse mõnel hetkel sisse. Mõned laiendused sisaldavad muidugi erinevat jälgimiskoodi, nii et lihtsalt sellepärast, et teie laiendil neid pole, ei tähenda see midagi. Petturid kipuvad olema keerulised.
(Pange tähele, et pakendasime lähtekoodi aknasse sobitamiseks) Ilmselt märkate, et paremas servas olev URL ei ole päris sama, mis varem. Tegelik jälgimise lähtekood on üsna keeruline ja tundub, et igal laiendil on erinev jälgimis URL.
Laienduse automaatse uuendamise vältimine (täiustatud)
Kui teil on laiend, mida te teate ja usaldate ning olete juba veendunud, et see ei sisalda midagi halba, võite veenduda, et laiend ei värskendaks teid kunagi nuhkvara abil, kuid see on tõesti manuaalne ja tõenäoliselt mitte see, mida sa tahad seda teha.
Kui soovid seda veel teha, avage paneeli Laiendused, leidke laiendi ID ja seejärel otsige% localappdata% Google Chrome'i kasutaja andmete vaikimisi laiendusi ja leidke kaust, mis sisaldab teie laiendit. Change2uroogle.com-i asendamiseks localhostiga muutke manifest.json'i värskenduse rida. Märge: me ei ole veel suutnud seda tegeliku laiendiga testida, kuid see peaks toimima.
Firefoxi jaoks on protsess palju lihtsam. Minge lisandmooduli ekraanile, klõpsake menüüikoonil ja tühistage valik „Värskenda lisandmooduleid automaatselt“.
Nii et kus see meid jätab?
Oleme juba kindlaks määranud, et laienduste koormusi uuendatakse, et hõlmata jälgimis- / luurakood, reklaamide süstimine ja kes teab veel. Neid müüakse ebausaldusväärsetele ettevõtetele või arendajaid ostetakse lubadusega, et raha on lihtne.
Kui olete installinud lisandmooduli, ei ole võimalik teada, et nad ei sisalda nuhkvara teedel. Kõik, mida me teame, on see, et on palju lisandmooduleid ja laiendusi, mis neid asju teevad.
Inimesed on küsinud meile nimekirja, ja nagu me seda uurime, oleme leidnud nii palju laiendusi, mis teevad neid asju, me ei ole kindlad, kas me saame kõigist neist täieliku nimekirja teha. Lisame nende nimekirja selle artikliga seotud foorumi teema, nii et me võime, et kogukond aitaks meil luua suuremat nimekirja.
Vaadake täielikku loendit või andke meile oma tagasisidet
